利用者認証
利用者認証は、システムやアプリケーションへのアクセスを許可する前に、ユーザーの身元を確認するプロセスです。
ログイン時にユーザー名とパスワードを入力することで、システムはユーザーが正規の利用者であるかどうかを検証します。アクセスが許可されると、ユーザーはシステムを利用できます。
ユーザーが利用を終了する際には、ログアウト操作を行い、セッションを終了させることで、不正アクセスのリスクを低減します。
ユーザIDとパスワード
ユーザIDとパスワードは、システムやアプリケーションへのアクセスを制御するための一般的な認証手段です。
ユーザIDは個々のユーザーを一意に識別するための識別子で、通常はメールアドレスや社員番号などが利用されます。
一方、パスワードは秘密の文字列で、ユーザーIDに紐づいた正しいパスワードを入力することで、ユーザーのアイデンティティを確認し、システムへのアクセスが許可されます。
パスワードの取り扱いには以下のような点に注意する必要があります。
- 定期的にパスワードを変更する。
- パスワードは十分な長さと複雑さを持たせる
- 使い回しのパスワードを使用しない（異なるシステムでは異なるパスワードを使う）
- 初期パスワードは製品ごとに共通であることがあるので、初回使用時に変更する
- 他人とパスワードを共有しない
- 誕生日や電話番号など個人情報を含むパスワードを設定しない
- 単純な連続数字や文字列（例：123456、abcdef）を使用しない
- 一般的な単語やフレーズ（例：password、admin）をそのまま使用しない
- 不審なメールやウェブサイトにパスワードを入力しない
- パスワードはメモ書きなどに書かず、安全な場所に保存する
- オンラインでパスワードを生成・管理する不審なツールを利用しない
- 公共のWi-Fiを利用してログイン時にパスワードを入力しない
多要素認証
多要素認証（Multi-Factor Authentication, MFA）は、セキュリティを強化するために、複数の認証手段を組み合わせてアクセス制御を行う方法です。
一般的に、以下の3つのカテゴリーから2つ以上の認証要素を組み合わせます。
- 知識（知っているもの）： ユーザー名やパスワード、PINなど、利用者が知っている情報を使用します。
- 所有（持っているもの）： スマートフォンやICカード、セキュリティトークンなど、利用者が持っている物理的なアイテムを使用します。
- 生体認証（あるもの）： 指紋、顔認証、虹彩認証など、利用者の生体的特徴を使用します。
多要素認証は、単一の認証手段に依存するよりもセキュリティが向上します。
例えば、パスワードが盗まれた場合でも、盗難被害者が持っていないセキュリティトークンや指紋認証が必要な場合、不正アクセスを防ぐことができます。
オンラインバンキング、企業ネットワーク、クラウドサービスなど、機密性が高くセキュリティが重要な場面で多要素認証が一般的に使用されています。
二要素認証（2FA）と二段階認証（2ステップ認証）は、いずれもユーザーのアカウント保護を強化するための認証手法ですが、それぞれ若干異なる点があります。
二要素認証（2FA）： 二要素認証は、2つの異なる認証要素を組み合わせてユーザー認証を行います。一般的に、以下の3つのカテゴリから異なる2つの要素が選ばれます。
- 知識要素（パスワードなど、ユーザーが知っている情報）
- 所持要素（携帯電話やICカードなど、ユーザーが持っているもの）
- 生体認証要素（指紋や顔認証など、ユーザーの身体的特徴）
二段階認証（2ステップ認証）： 二段階認証は、通常のユーザー名とパスワードに加えて、追加の認証情報が必要な認証プロセスです。通常は、パスワード入力後（知識要素）に、秘密の質問（知識要素）を入力することで認証が完了します。
二要素認証が異なる種類の要素を組み合わせるのに対して、二段階認証は同じ種類の要素を2回使用する場合も含むという違いがあります。しかし、実際には両者が同じ意味で使われることも多く、どちらもアカウントのセキュリティを向上させる役割があります。
バイオメトリクス認証
バイオメトリクス認証は、多要素認証の一種で、個人の生体的特徴を利用して本人確認を行う認証方法です。
身体的特徴（指紋、顔認識、虹彩認識など）や行動的特徴（声紋、筆跡、歩行パターンなど）が主に使われます。バイオメトリクス認証の利点は、本人固有の特徴を利用するため、パスワードのように忘れる心配がなく、また盗まれるリスクも低いことです。
以下のようなキーストローク認証や筆跡認証もバイオメトリクス認証に含まれます。
キーストローク認証：キーボードで特定文字列を入力させ、そのときの打鍵の速度やタイミングの変化によって、認証を行う。
筆跡認証：タッチパネルに手書きで氏名を入力させ、そのときの筆跡、筆圧、運筆速度などによって、認証を行う。
バイオメトリクス認証の性能評価には、他人受入率（False Acceptance Rate, FAR）と本人拒否率（False Rejection Rate, FRR）の2つの指標が使われます。
- 他人受入率（FAR）: 他人受入率は、認証システムが正当でないユーザー（他人）を正当なユーザー（本人）として誤って認証してしまう確率を示します。低いFARは、システムが他人のアクセスを正確に拒否できることを意味し、セキュリティが高いことを示します。
- 本人拒否率（FRR）: 本人拒否率は、認証システムが正当なユーザー（本人）を誤って拒否してしまう確率を示します。低いFRRは、システムが本人のアクセスを正確に許可できることを意味し、利便性が高いことを示します。
バイオメトリクス認証システムの設計では、FARとFRRのバランスを考慮することが重要です。一般的に、FARを低くするとFRRが高くなる傾向があり、その逆も同様です。
システムの適切な性能を達成するためには、セキュリティ要件と利用者の利便性を考慮して、これらの指標の最適なバランスを見つけることが必要です。
その他の認証方法
ワンタイムパスワード
ワンタイムパスワード（OTP：One Time Password）は、多要素認証の一種（知識と所有）で、一度使用したら無効になる一時的なパスワードです。これにより、パスワードが漏洩しても、次回以降のアクセスには使用できないため、セキュリティが向上します。
例として、銀行のオンラインサービスでの利用を考えましょう。
- まず、ユーザーは通常のIDとパスワードでログインします。
- 次に、ユーザーが重要な取引（例：送金）を行おうとすると、システムはワンタイムパスワードの入力を要求します。
- ユーザーは、自分が所有するスマートフォンにSMSで送られてくるワンタイムパスワードを受け取ります。このパスワードは、例えば「748592」といった6桁の数字で構成されていることが多いです。
- ユーザーは、受け取ったワンタイムパスワード「748592」を入力します。
- システムがワンタイムパスワードを確認し、正しい場合は取引を承認します。
この例では、ワンタイムパスワードがSMSで送信されましたが、専用のトークンデバイスやスマートフォンアプリを使って生成される場合もあります。（トークンデバイスやスマートフォンアプリは所有要素に当たります）
いずれの方法でも、ワンタイムパスワードは通常のIDとパスワードとは別に管理されるため、セキュリティが強化されます。
マトリクス認証
マトリクス認証は、ユーザーが覚えた位置と順序に基づいてパスワードを生成する認証方法です。
認証時に提示されるのは、ランダムに数字が配置されたグリッドで、ユーザーは、事前に覚えた特定のパターンに従って、数字を順番に読み取ります。
例えば、3×3のグリッドで「左上からスタートして下→下→右→右」に移動するというパターンを覚えている場合、グリッドに配置されたランダムな数字からその順番に数字を読み取ります。
こうして毎回異なるワンタイムパスワードが生成され、セキュリティが向上します。
この方式の利点は、パスワードが毎回異なるため、パスワードの漏洩や推測が困難になることです。また、ユーザーは覚えるのが位置と順序のみなので、直感的で使いやすい点も特徴です。
ICカードとPIN
利用者認証におけるICカードとPINの役割は、二要素認証（知識と所有）によって、それぞれ異なるセキュリティ要素を提供することにあります。
- ICカードの役割： ICカードは「何かを持っている（所有要素）」という認証要素を提供します。カードには利用者固有の情報や認証情報が電子的に記録されており、そのカードを持っていることで本人であることを示す証拠になります。
- PINの役割： PIN（Personal Identification Number）は、「何かを知っている（知識要素）」という認証要素を提供します。これは通常4～6桁の数字で構成された暗証番号で、利用者が正しいPINを入力することで、本人であることを証明します。
なお、ICカードと組み合わせて使用された場合、PINはICカード内に記録された番号と照合されます。
ICカードとは”Integrated Circuit Card”の略で、組み込まれた集積回路（ICチップ）を持つプラスチック製のカードのことを指します。
このICチップには情報を記録したり処理したりする機能があります。クレジットカード、デビットカード、交通系カード（SuicaやPASMOなど）、社員IDカードなど多くの場面で利用されています。
接触型と非接触型（タッチレス）の2種類が存在し、それぞれの使用目的に応じて選ばれます。
ICカードとPINの組み合わせによる認証は、どちらの要素も正しく提供されなければアクセスが許可されないため、単一のパスワード認証よりもセキュリティが高まります。これにより、不正利用やなりすましのリスクを軽減することができます。
ICカードとPINの組み合わせは、様々な分野でセキュリティ確保のために利用されています。ここではそのような例をいくつか挙げます。
- 銀行のキャッシュカード：最も一般的な例で、銀行口座にアクセスするためのICカード（ATMカード）に暗証番号（PIN）を組み合わせて使用します。これにより、ATMでの現金引き出しやオンラインバンキングでの取引が可能になります。
- クレジットカードの支払い：一部のクレジットカードでは、ICチップが組み込まれており、取引の際にPINを入力することで、カードの不正利用を防ぎます。特にヨーロッパなどでは、チップとPINによる認証が一般的です。
- 入退室管理システム：オフィスビルや研究施設など、セキュリティを重視する場所では、従業員や関係者が入退室する際に、ICカードとPINを組み合わせた認証システムを使用しています。これにより、不正な入室を防ぎ、施設内のセキュリティを保ちます。
これらの例からも分かるように、ICカードとPINの組み合わせは、日常生活の様々な場面でセキュリティと利便性を提供しています。
SMS認証
SMS認証は、携帯電話のショートメッセージサービス（SMS）を利用した二要素認証の一形態です。
通常のユーザー名とパスワードに加え、SMSで受信した一時的なコード（先述のワンタイムパスワードなど）を入力することで本人確認を行います。
ユーザーがログインしようとすると、システムはあらかじめ登録された携帯電話番号に対して一時的な認証コードを送信します。正規のユーザーはそのコードを入力することで、アカウントにアクセスできますが、不正なユーザーは携帯端末を所持していないのでアクセスできません。
つまり、パスワード（知識要素）と携帯電話（所持要素）の組み合わせによる二要素認証と言えます。
SMS認証により、不正アクセスやなりすましに対するセキュリティが向上し、個人情報やアカウントが保護されます。ただし、SMSが不正利用されるリスクや受信までに遅延が発生することがあるため、その限界も理解しておくことが重要です。
シングルサインオン
シングルサインオン（SSO：Single Sign-On）は、複数のサービスやアプリケーションに対して、一度のログイン操作でアクセスが可能になる認証手法です。
ユーザーは1つのユーザー名とパスワードで複数のサービスにアクセスできるため、ログインの手間が軽減されます。
シングルサインオンは、企業環境やオンラインサービス（例えばGoogleのG SuiteやMicrosoftのOffice 365などのクラウドサービス）でよく使われており、効率的なアクセス管理が可能になります。また、パスワードを多く記憶する必要がなくなるため、セキュリティリスクも低減されます。
ただし、一度のセキュリティ侵害で複数のサービスが危険にさらされるリスクがあるため、その対策も重要です。
リスクベース認証
リスクベース認証（Risk-based authentication、RBA）は、ユーザーの行動や環境に基づいてリスクを評価し、認証プロセスの強度を調整するセキュリティ手法です。
これにより、状況に応じたセキュリティ対策を行うことができ、ユーザーにとって便利かつ安全なログイン体験が提供されます。
リスクベース認証では、以下のような要素を考慮してユーザーのリスクレベルを評価します。
- 地理的位置情報：ログイン試行がユーザーの通常の地理的範囲から外れている場合、リスクは高まります。
- デバイス：ユーザーが登録済みのデバイス以外からアクセスした場合、リスクが増加します。
- 時間：例えば深夜や非常に早い時間帯にログインが行われると、リスクが高まる可能性があります。
- ログイン試行の頻度：短時間に多数のログイン試行が行われると、リスクが高まります。
リスクの評価に基づき、以下のように認証プロセスが調整されることがあります。
- 低リスク：パスワードだけでログインを許可します。
- 中リスク：追加のセキュリティ質問に答えることを求められることがあります。
- 高リスク：二要素認証（2FA）を要求するなど、より厳格な認証手段が求められます。
具体例：
あるユーザーが普段とは異なる国からログインしようとした場合、リスクベース認証システムはこの異常を検出し、ユーザーに対して追加の身元確認手続きを求めるかもしれません。例えば、登録済みの電話番号に送られたワンタイムパスワード（OTP）の入力を要求することで、認証を強化します。
このようにリスクベース認証は、ユーザーの挙動や環境をリアルタイムで分析し、適切なセキュリティ対策を行うことで、ともに利便性とセキュリティを向上させることができます。
関連用語
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を扱う事業者が遵守すべきセキュリティ基準のことです。
PCI SSCという組織が策定し、各国のカードブランド（VISA、MasterCardなど）が推奨しています。
クレジットカード情報を保有する事業者は、定期的に自社のシステムやプロセスに対して、PCI DSSに準拠しているかどうかの評価を受ける必要があります。
画像認証は、オンラインで人間とコンピュータ（ボット）を区別するための一つの方法です。
ボットが自動的にフォームを送信したり、サイトに新規アカウント登録したりするのを防ぐために広く利用されています。
特に、CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）と呼ばれる画像認証の形式が広く利用されています。
画像認証の例としては、歪んだ文字列や数列を読み取って入力するものや、指定された画像（例: 交通標識や自動車）を選択するものなどがあります。
適切な入力を行った場合、ユーザーは人間であると認識され、フォームの送信やアカウントの作成などへ手順を進めることができます。
画像認証の利点は、ボットが難しく、人間が容易にできるタスクを提供することで、人間とボットを区別できる点にあります。
ただし、視覚障害者など特定のユーザーにとっては、アクセシビリティの問題を引き起こす可能性があります。このような問題を回避するため、音声認証やテキストベースの問題など、他の形式の認証もしばしば提供されます。
アクセス権の管理は、情報システムやデータ、ファイルなどへのアクセスを制御することで、セキュリティを確保する重要な要素です。
主なアクセス権には、参照、更新、削除、実行などがあります。
- 参照（読み取り）権限：データや情報システムの内容を閲覧・表示することができる権限。
- 更新（書き込み）権限：データや情報システムの内容を編集・変更することができる権限。
- 削除権限：データや情報システムの内容を完全に削除することができる権限。
- 実行権限：プログラムやアプリケーションを実行することができる権限。
アクセス権の管理では、ユーザーごとに適切なアクセス権を割り当て、最小権限の原則に基づいて、必要な権限のみを付与することが重要です。これにより、不正アクセスや情報漏えいのリスクを軽減することができます。